Po siedmich rokoch vývoja bol uvoľnený nástroj príkazového riadku sq 1.0, určený na prácu s artefaktmi OpenPGP. Nástroj pripravil projekt Sequoia PGP, ktorý tiež vyvíja knižnicu funkcií s implementáciou štandardu OpenPGP (RFC-4880). Uvoľnenie 1.0 je označené ako prvé stabilné vydanie projektu, čo znamená stabilizáciu kódovej základne a ukončenie zmien, ktoré narúšajú kompatibilitu. Kód je napísaný v jazyku Rust a je šírený pod licenciou GPLv2+.
Nástroj je zahrnutý v distribúcii Red Hat Enterprise Linux 10 ako alternatíva k GnuPG, je využívaný na prácu s PGP v balíkových manažéroch DNF a RPM a je predvolene používaný v experimentálnej vetve balíkového manažéra APT pri prítomnosti komponentov Sequoia v systéme. Server pre kľúče Hagrid, vytvorený vývojármi Sequoia, sa používa v službe keys.openpgp.org.
Projekt Sequoia bol založený tromi vývojármi GnuPG z firmy g10code, ktorá sa špecializuje na audit kryptosystémov a vývoj doplnkov k GnuPG. Cieľom projektu je prepracovanie architektúry a zavedenie nových techník na zvýšenie bezpečnosti a spoľahlivosti kódovej základne. Okrem používania jazyka Rust na zníženie pravdepodobnosti chýb pri práci s pamäťou, v Sequoia bola implementovaná dodatočná ochrana pred chybami na úrovni API. Napríklad API nedovoľuje náhodné exportovanie materiálu tajného kľúča a ochraňuje pred vynechaním dôležitých akcií pri aktualizácii digitálneho podpisu. Pre dodatočnú izoláciu sa uplatňuje rozdelenie na samostatné procesy služieb, ktoré pracujú s otvorenými a uzavretými kľúčmi.
Okrem funkcií na šifrovanie dát, práce s elektronickými podpismi a správy kľúčov, podobných možnostiam gpg, sq dodatočne poskytuje decentralizovanú infraštruktúru verejných kľúčov (PKI). PKI sa používa na autentifikáciu certifikátov a správ a umožňuje overiť, že prijatý verejný kľúč a prijaté správy sú spojené s deklarovaným autorom, a nie vytvorené útočníkom.
Pri nahrávaní certifikátu z keys.openpgp.org alebo iného servera kľúčov, nástroj sq automaticky uloží informácie o certifikáte na lokálny systém a použije tieto informácie pri neskorších operáciách na odhaľovanie falšovaných certifikátov. Je pozoruhodné, že implementovaný systém môže slúžiť ako základ pre vytvorenie podobnosti distribuovaného certifikačného centra (CA), pokrývajúceho rôzne servery kľúčov.
Napríklad, pred overením autentickosti nahraných zostáv OS Qubes môže používateľ najprv skontrolovať certifikát Qubes poskytovaný z hlavného servera kľúčov projektu Qubes: sq network search https://keys.qubes-os.org/keys/qubes-release-4.2-signing-key.asc
Zadaný príkaz stiahne certifikát zo servera keys.qubes-os.org a potom skontroluje jeho existenciu na známych serveroch kľúčov, ako sú keys.openpgp.org a keyserver.ubuntu.com, alebo sa pokúsi získať prostredníctvom mechanizmov WKD (Web Key Directory) a DANE (DNS-Based Authentication of Named Entities). Následne nástroj porovná získané certifikáty a ak sú spojené s jedným vlastníkom, navrhne použiť príkaz „sq pki link add“ na uloženie certifikátu na lokálny systém pre následné kontroly. Po uložení bude certifikát považovaný za dôveryhodný a na sťahovanie zostáv s overovaním ich pravosti stačí vykonať príkaz: sq download —signature-url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso.asc —url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso —output /tmp/qubes.iso
Zdroj: opennet.ru
